Непредвиденное поведение правила безопасности Firestore метода hasAny() в зависимости от порядка

Я только что нашел обходной путь, но не понимаю, почему другой способ не работает. Я не уверен, что я что-то упускаю или у нас есть небольшая ошибка.

Дело в том, что если я инвертирую коэффициенты метода .hasAny(), я получу ожидаемое поведение. То есть вместо arrayA.hasAny(arrayB) я сделал arrayB.hasAny(arrayA) и теперь могу запрашивать нужные документы у клиента, не получая ошибки «Отсутствуют или недостаточны разрешения».

Поэтому вместо этого правила безопасности

match /usuarios/{userId} { 
  allow read: 
    if request.auth != null 
    && "departments" in get(/databases/$(database)/documents/usuarios/$(request.auth.uid)).data.keys() 
    && "departments" in resource.data.keys() 
    && get(/databases/$(database)/documents/usuarios/$(request.auth.uid)).data.departments.hasAny(resource.data.departments); 
}

Я написал это

match /usuarios/{userId} { 
  allow read: 
    if request.auth != null 
    && "departments" in get(/databases/$(database)/documents/usuarios/$(request.auth.uid)).data.keys() 
    && "departments" in resource.data.keys() 
    && resource.data.departments.hasAny(get(/databases/$(database)/documents/usuarios/$(request.auth.uid)).data.departments); 
}

И теперь запрос с предложениемwhere может быть успешно выполнен, и правило безопасности работает нормально, потому что если я попытаюсь запросить всю коллекцию без фильтрации, я получу ошибку разрешения.

Мне кажется, что ресурс.data.departments не читается/обрабатывается как список строк, когда он передается в качестве аргумента методу hasAny(), но это происходит в том случае, если это объект, вызывающий метод (и это не удалось только тогда, когда Я запрашивал коллекцию с помощью фильтра, когда запрашивал один документ, все работало хорошо).

Опять же, если кто-нибудь знает причину такого поведения, я был бы рад услышать их мысли, поскольку мне это очень интересно.

ПОДДЕРЖКА FIREBASE ОТВЕТ НА МОЙ РЕШЕНИЕ И ПОТЕНЦИАЛЬНАЯ ПРИЧИНА, ПОЧЕМУ ОНО РАБОТАЕТ ТОЛЬКО В ОДНОСТОРОННУЮ СПОСОБ

Поведение, с которым вы сталкиваетесь при использовании правил безопасности Firestore и метода .hasAny(), может быть связано с тем, как правило оценивается во время запроса. Вот разбивка того, что может произойти:

Оценка правил безопасности:

Правила безопасности Firestore оцениваются во время выполнения запроса. Правило получает доступ к данным из нескольких документов, используя вызовы get внутри самого правила.

Потенциальная проблема:

Порядок вычислений внутри вызова .hasAny() может повлиять на результат. Firestore может оценивать аргументы .hasAny() слева направо.

Сценарий 1 (Неработающее правило):

1. get(/databases/$(database)/documents/usuarios/$(request.auth.uid)) вызывается для получения отделов текущего пользователя. (Давайте назовем это userDepartments)
2. Доступ к ресурсу.data.departments (отделы запрошенного документа). (Назовем это docDepartments)
3. userDepartments.hasAny(docDepartments) оценивается.

В этом случае userDepartments могут быть получены не полностью, когда произойдет сравнение. Это может привести к ошибке «Недостаточно разрешений», поскольку правило может не содержать всех данных, необходимых для принятия решения.

Сценарий 2 (Рабочее правило):

1. Доступ к ресурсу.data.departments (docDepartments).
2. get(/databases/$(database)/documents/usuarios/$(request.auth.uid)) вызывается для получения отделов текущего пользователя (userDepartments).
3. docDepartments.hasAny(userDepartments) оценивается.

Здесь в первую очередь осуществляется доступ к docDepartments. Поскольку это часть запрашиваемого документа, он, скорее всего, будет доступен до того, как правило попытается получить доступ к данным пользователя. Затем извлекается userDepartments. Даже если произойдет небольшая задержка, сравнение все равно может работать, поскольку документ docDepartments уже доступен. Хотя поведение, с которым вы столкнулись, является неожиданным с точки зрения оценки правил безопасности Firestore, трудно однозначно сказать, что это ошибка.

Вот почему:

• Оценка правил безопасности: правила безопасности Firestore отдают приоритет безопасности данных и могут иметь специальные механизмы оценки для обеспечения согласованности данных во время выполнения правила. Порядок оценки в правиле может быть выбран в целях предотвращения несанкционированного доступа из-за потенциальных несоответствий данных.
• Ограниченная информация: без доступа к внутренней работе системы оценки правил безопасности Firestore сложно определить, является ли это ошибкой или преднамеренным выбором дизайна.